Automatisoitu päätöksenteko on yleistynyt ja vakiintunut osaksi digitaalisten alustojen toimintaa. Sitä hyödynnetään muun muassa petosten havaitsemisessa, käyttäjätilien valvonnassa, työntekijöiden arvioinnissa, sisällön moderoinnissa sekä pääsyoikeuksia koskevassa päätöksenteossa. EU:n yleisen tietosuoja-asetuksen (TSA) 22 artikla asettaa kuitenkin merkittäviä rajoituksia sellaisille päätöksille, jotka perustuvat yksinomaan automaattiseen käsittelyyn ja joilla on rekisteröityyn kohdistuvia oikeudellisia vaikutuksia tai jotka vaikuttavat häneen vastaavalla tavalla merkittävästi. Tässä blogikirjoituksessa keskustelemme Alankomaiden tietosuojan valvontaviranomaisen Uberia koskevasta päätöksestä sekä tarkastelemme sitä, miten organisaatiot voivat erottaa toisistaan automatisoidun käsittelyn, joka tukee päätöksentekoa, ja automatisoidun käsittelyn, joka tosiasiallisesti tekee päätöksiä.
Uber-ratkaisu
Alankomaiden tietosuojan valvontaviranomaisen 21. elokuuta 2026 antama päätös, jolla se määräsi Uberille 825 miljoonan euron seuraamusmaksun, havainnollistaa sitä, millaisia seurauksia voi aiheutua siitä, ettei tehdä riittävää eroa päätöksentekoa tukevan käsittelyn ja varsinaisen automatisoidun päätöksenteon välillä. Tapauksessa oli kyse Uberin vuosina 2018–2022 käyttämistä automatisoiduista järjestelmistä, joilla seurattiin kuljettajien toimintaa ja näiden saamia asiakasarvioita. Järjestelmät saattoivat lukita automaattisesti kuljettajien käyttäjätilit ja jopa joissakin tapauksissa poistivat ne pysyvästi käytöstä kuljettajan saamien toistuvasti alhaisten arvioiden perusteella. Tämän seurauksena kuljettajat eivät voineet ansaita tuloja Uber-alustan kautta. Alankomaiden tietosuojan valvontaviranomainen katsoi, ettei tähän Uberin tekemään päätöksentekoon liittynyt ihmisen suorittamaa arviointia.
Tapauksen taustalla olivat 171 ranskalaisen Uber-kuljettajan tekemät valitukset, jotka toimitettiin Ranskan tietosuojan valvontaviranomaiselle Ligue des droits de l’Hommen välityksellä. Koska Uberin Euroopan päätoimipaikka sijaitsee Alankomaissa, asia siirrettiin Ranskan tietosuojan valvontaviranomaiselta Alankomaiden tietosuojan valvontaviranomaisen käsiteltäväksi.
Uber on kiistänyt viranomaisen johtopäätökset. Yhtiön mukaan suurin osa tilien käyttökatkoista oli lyhytaikaisia, ihminen osallistui käyttäjätilien pysyvää sulkemisista koskeviin päätöksiin ja kuljettajilla on ollut mahdollisuus valittaa päätöksistä. Uber on ilmoittanut aikovansa hakea valvontaviranomaisen ratkaisuun muutosta.
Päätös tarjoaa mielenkiintoisen näkökulman kysymykseen, jonka kanssa monet merkittäviä automatisoituja päätöksenjärjestelmiä käyttävät organisaatiot kamppailevat: Mitä pidetään tietosuoja-asetuksen 22 artiklan tarkoittamana ihmisen osallistumisena?
TSA:n 22 artikla ja ihmisen osallistuminen
TSA:n 22 artikla ei lähtökohtaisesti kiellä automatisoitua päätöksentekoa. Se antaa rekisteröidylle kuitenkin oikeuden olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu yksinomaan automaattiseen henkilötietojen käsittelyyn ja jolla on häntä koskevia oikeusvaikutuksia tai muita vastaavanlaisia merkittäviä vaikutuksia. Tästä oikeudesta voidaan poiketa vain, jos jokin 22 artiklan 2 kohdassa säädetyistä poikkeuksista soveltuu.
Käytännön haasteena on määrittää, milloin ihmisen osallistuminen on riittävää, jotta päätöstä ei enää pidettäisi ”pelkästään automaattisena”.
Pelkkä lähtökohta, että prosessissa on mukana ihminen, ei yksin riitä oikeudelliseksi suojakeinoksi. Vaikka ihminen tarkastaisi automatisoidun järjestelmän tuottaman suosituksen, tällä tarkastelulla on merkitystä vain, jos kyseessä on aito osallistuminen päätöksentekoprosessiin.
Europan unionin tuomioistuimen SCHUFA-ratkaisu (C-634/21) yhdessä Euroopan tietosuojaneuvoston automatisoitua yksilöpäätöksentekoa koskevien ohjeiden kanssa korostavat merkityksellistä ihmisen osallistumista. Ihmisen osallistumisen tulee olla sisällöllistä eikä pelkästään muodollista: suorittavalla taholla tulee olla riittävä osaaminen päätöksen arvioimiseen, todelliset valtuudet poiketa automatisoidusta lopputuloksesta sekä käytännön mahdollisuus tehdä niin.
Juuri tämä ero nousi tarkastelevaksi Uber-päätöksessä.
Mikä on merkityksellistä ihmisen osallistumista?
TSA ei edellytä, että organisaatiot kokonaan luopuvat automatisoiduista järjestelmistä tai aina hankkivat ihmisen hyväksynnän jokaiselle automatisoidulle arvioinnille. Kysymys on siitä, onko ihmisen osallistuminen silloin, kun 22 artikla soveltuu, riittävän merkityksellistä ja sisällöllisesti vaikuttavaa. Euroopan tietosuojaneuvoston hyväksymien ohjeiden ja Europan unionin tuomioistuimen oikeuskäytännön perusteella sellaisia tekijöitä, jotka voivat olla merkityksellisiä tässä arvioinnissa, ovat muun muassa:
- arvioijalla on pätevyys ymmärtää ja arvioida automatisoidun lopputuloksen perusteita;
- arvioijalla on mahdollisuus käyttää itsenäistä harkintaa eikä hän vain pelkästään vahvista järjestelmän suositusta;
- arvioijalla on valtuutus muuttaa tai kumota lopputulos; sekä
- arvioija osallistuu prosessiin sellaisessa vaiheessa, jossa hän voi vaikuttaa lopputulokseen, erityisesti silloin, kun automaattinen lopputulos aiheuttaa merkittäviä vaikutuksia.
Pelkkä ihmisen osallistuminen prosessiin ei siis vielä yksistään tarkoita, että päätöksentekoon kohdistuu aitoa tai merkityksellistä ihmisen tekemää arviointia.
Soveltuuko 22 artikla?
22 artiklan soveltumisen arviointi edellyttää useiden kysymysten tarkastelua.
- Perustuuko päätös yksinomaan automatisoituun käsittelyyn?
On tärkeää ymmärtää, että kaikki automatisoidut järjestelmät eivät tuota 22 artiklassa tarkoitettuja päätöksiä.
Automaattiset järjestelmät voivat tunnistaa riskejä, tehdä suosituksia tai merkitä tapahtumia ihmisen tarkempaa arviointia varten. Se, että teknologiaa käytetään päätöksenteossa, ei automaattisesti tarkoita, että lopullinen päätös olisi ”yksinomaan automatisoitu”.
Ratkaiseva kysymys on, liittyykö päätöksentekoon itsessään merkittävää ihmisen osallistumista.
- Onko päätöksellä oikeusvaikutuksia tai vastaavasti merkittäviä vaikutuksia?
Seuraavaksi arvioidaan, aiheuttaako päätös oikeusvaikutuksia tai vastaavasti merkittäviä vaikutuksia rekisteröidylle.
Arviointi riippuu olosuhteista. Päätös, joka vaikuttaa henkilön mahdollisuuteen ansaita toimeentuloa, saada keskeisiä palveluita tai jatkaa osallistumista tietyn alustan toimintaan, voi olosuhteista riippuen ylittää tämän kynnyksen.
- Soveltuuko jokin 22 artiklan 2 kohdan poikkeuksista?
Kun 22 artiklan kielto tulee sovellettavaksi, automatisoitu päätöksenteko on sallittua ainoastaan 22 artiklan 2 kohdassa määritellyissä tilanteissa:
- kun se on välttämätöntä sopimuksen tekemistä tai täytäntöönpanoa varten;
- kun se on hyväksytty unionin tai jäsenvaltion lainsäädännössä; tai
- kun se perustuu rekisteröidyn nimenomaiseen suostumukseen.
- Ovatko vaaditut suojatoimet käytössä?
Vaikka jokin 22 artiklan 2 kohdan poikkeuksista soveltuisi, 22 artiklan 3 kohta edellyttää asianmukaisia suojatoimia rekisteröidyn oikeuksien ja vapauksien turvaamiseksi.
Näihin kuuluvat muun muassa oikeus saada päätös ihmisen käsiteltäväksi, esittää oma kantansa sekä riitauttaa päätös.
Muutoksenhakumekanismi voi tarjota mahdollisuuden päätöksen riitauttamiseen, mutta se ei välttämättä täytä erillistä edellytystä ihmisen osallistumisesta. Jos merkittävä seuraus on jo toteutunut, myöhempi valitusmahdollisuus ei välttämättä vastaa sitä, että ihminen olisi osallistunut alkuperäiseen päätöksentekoon.
Kysymys ei siis ole pelkästään siitä, onko valitusmahdollisuus olemassa. Olennaista on, tarjoaako organisaatio aidon mahdollisuuden siihen, että pätevä ja toimivaltainen henkilö arvioi tapauksen ja tarvittaessa muuttaa sen lopputulosta.
Keskeiset johtopäätökset
Uber-ratkaisu ei tarkoita, että alustojen tulisi kokonaan luopua automaatiosta. Se kuitenkin korostaa tarvetta erottaa toisistaan automatisoitu käsittely, joka tukee päätöksentekoa ja sellainen automatisoitu käsittely, joka tosiasiallisesti tekee päätökset itsenäisesti.
Kun automatisoidulla päätöksenteolla on merkittäviä vaikutuksia yksilöihin, on olennaista arvioida, sisältyykö päätöksentekojärjestelmään merkityksellistä ihmisen osallistumista suojatoimena. Tällaisiin järjestelmiin tukeutuvien organisaatioiden ei tulisi pitää pelkkää ihmisen osallistumista automaattisesti riittävänä. Ratkaisevaa on, onko ihmisen osallistuminen merkityksellistä eli sisällöllistä, riippumatonta ja aidosti lopputulokseen vaikuttavaa.
Koska automatisoituun päätöksentekoon kohdistuva sääntely- ja valvontapaine kasvaa jatkuvasti, organisaatioiden on kyettävä osoittamaan paitsi se, että prosessissa on mukana ihminen, myös se, mitä kyseinen henkilö tekee ja miten hänen osallistumisensa vaikuttaa lopulliseen päätökseen.
Yksi käytännönläheinen lähestymistapa on käyttää järjestelmiä, jotka tuottavat automaattisia hälytyksiä ja ohjaavat nämä hälytteet ihmisen arvioitavaksi sen sijaan, että järjestelmät itse käynnistävät automaattisesti toimenpiteitä tai seuraamuksia. Erityisen tärkeää toimintatapojen pohtiminen on tilanteissa, joissa päätöksellä voi olla merkittäviä vaikutuksia yksilöön. Alankomaiden tietosuojan valvontaviranomainen on myös julkaissut ohjeistuksen merkityksellisen ihmisen osallistumisen toteuttamisesta algoritmisessa päätöksenteossa, mikä voi osaltaan auttaa organisaatioita toimimaan vaatimustenmukaisesti.